Amazon OpenSearch Service 中的服务软件更新

Amazon S OpenSearch ervice 会定期发布服务软件更新，以增加功能或以其他方式改进您的域名。控制台中的 Notifications（通知）面板是查看是否有可用的更新或检查更新状态的最简单方法。每个通知都包含有关服务软件更新的详细信息。所有服务软件更新均使用蓝绿部署，以尽可能减少停机时间。

服务软件更新不同于 OpenSearch 服务版本升级。有关升级到更高版本的 Serv OpenSearch ice 的信息，请参阅升级 Amazon OpenSearch Service 域。

OpenSearch 服务要求您在所需的服务软件更新可用后 30 天内应用这些更新。这些更新对于维护安全合规性至关重要。

如果您未在 30 天内应用所需的更新，您将每 15 天收到一次提醒通知，持续 30 天。在这段时间不合规之后，您的域名将被隔离，并产生以下影响：

隔离期间，您将在 60 天内继续每 15 天收到一次提醒通知。如果您未在此期限内应用所需的更新，则您的 OpenSearch 服务域和所有关联数据将被永久删除。有关更多信息，请参阅验证错误疑难解答。

可选更新与必需更新

OpenSearch 服务有两大类服务软件更新：

可选更新

可选服务软件更新通常包括增强功能以及新特性或新功能支持。域不会强制执行可选更新，可选更新安装不存在硬性截止日期要求。通过电子邮件和控制台通知传达更新发布日期。您可以选择立即应用更新，也可以将其重新安排到更合适的日期和时间。您也可以在域的非高峰时段安排更新。绝大多数软件更新为可选更新。

无论您是否计划更新，如果您对域进行更改以导致蓝/绿部署，S OpenSearch ervice 都会自动为您更新服务软件。

您可以配置域，在非高峰时段自动应用可选更新。开启此选项后， OpenSearch 服务将在可选更新可用之日起至少等待 13 天，然后计划在 7 天后进行更新。计划更新时，将收到控制台通知，您可以选择重新安排在未来的某个日期执行更新。

要启用自动软件更新，请在创建或更新域时选择启用自动软件更新。要使用配置相同的设置 Amazon CLI，请在创建或更新域名true时设置为--software-update-options。

必需更新：

必需服务软件更新通常包括重要安全修复或其他强制更新，以确保域的持续完整性和功能性。所需更新的示例包括 Log4j 常见漏洞和暴露 (CVEs) 和实例元数据服务版本 2 的强制执行 ()。IMDSv2一年的强制更新次数通常少于三次。

OpenSearch Service 会自动安排这些更新，并在预定更新前七天通过电子邮件和控制台通知通知您。您可以选择立即应用更新，也可以将其重新安排到更合适的日期和时间以及允许时间范围内的某个时间。您也可以在域的下一非高峰时段安排更新。如果您未对必需的更新采取任何操作，也没有进行任何导致 blue/green 部署的域更改，则 OpenSearch 服务可以在域的非高峰期限内，在指定的截止日期（通常为上线后 14 天）之后的任何时间启动更新。

无论何时安排更新，如果您对域名进行更改以导致蓝/绿部署，S OpenSearch ervice 都会自动为您更新您的域。

补丁更新

以 “-P” 结尾并以数字结尾的服务软件版本（例如 R20211203-P4）是补丁版本。补丁可能包括性能改进、次要错误修复以及安全修复或状态改进。补丁发行版不包含新功能或重大更改，并且通常不会对用户产生直接或明显的影响。服务软件通知将说明补丁版本是可选补丁还是必需补丁。

注意事项

决定是否更新域时，请考虑以下事项：

启动服务软件更新

您可以通过服务控制台 Amazon CLI、或其中一个来请求 OpenSearch 服务软件更新 SDKs。

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "NOW"

{
    "ServiceSoftwareOptions": {
        "CurrentVersion": "R20220928-P1",
        "NewVersion": "R20220928-P2",
        "UpdateAvailable": true,
        "Cancellable": true,
        "UpdateStatus": "PENDING_UPDATE",
        "Description": "",
        "AutomatedUpdateDate": "1969-12-31T16:00:00-08:00",
        "OptionalDeployment": true
    }
}

import boto3
from botocore.config import Config
import time

# Build the client using the default credential configuration.
# You can use the CLI and run 'aws configure' to set access key, secret
# key, and default region.

my_config = Config(
    # Optionally lets you specify a Region other than your default.
    region_name='us-east-1'
)

domain_name = ''  # The name of the domain to check and update

client = boto3.client('opensearch', config=my_config)


def getUpdateStatus(client):
    """Determines whether the domain is eligible for an update"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    sso = response['DomainStatus']['ServiceSoftwareOptions']
    if sso['UpdateStatus'] == 'ELIGIBLE':
        print('Domain [' + domain_name + '] is eligible for a service software update from version ' +
              sso['CurrentVersion'] + ' to version ' + sso['NewVersion'])
        updateDomain(client)
    else:
        print('Domain is not eligible for an update at this time.')


def updateDomain(client):
    """Starts a service software update for the eligible domain"""
    response = client.start_service_software_update(
        DomainName=domain_name
    )
    print('Updating domain [' + domain_name + '] to version ' +
          response['ServiceSoftwareOptions']['NewVersion'] + '...')
    waitForUpdate(client)


def waitForUpdate(client):
    """Waits for the domain to finish updating"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    status = response['DomainStatus']['ServiceSoftwareOptions']['UpdateStatus']
    if status == 'PENDING_UPDATE' or status == 'IN_PROGRESS':
        time.sleep(30)
        waitForUpdate(client)
    elif status == 'COMPLETED':
        print('Domain [' + domain_name +
              '] successfully updated to the latest software version')
    else:
        print('Domain is not currently being updated.')

def main():
    getUpdateStatus(client)

计划在非高峰时段执行软件更新

2023 年 2 月 16 日之后创建的每个 OpenSearch 服务域在当地时间晚上 10:00 至上午 8:00 之间每天有 10 小时的时段，我们将其视为非高峰时段。 OpenSearch 服务使用此窗口来安排域的服务软件更新。非高峰期更新有助于最大限度地减少在流量较高时段对集群专用主节点的压力。 OpenSearch 未经您的同意，服务无法在 10 小时之外启动更新。

对于每个域，您可以选择使用自定义时间覆盖默认开始时间晚上 10:00。有关说明，请参阅配置自定义非高峰窗口。

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "OFF_PEAK_WINDOW"

监控服务软件更新

OpenSearch 当服务软件更新可用、需要更新、已启动、已完成或失败时，服务会发送通知。您可以在 OpenSearch 服务控制台的通知面板上查看这些通知。如果更新是可选的，通知严重性为 Informational，如果需要，严重性为 High。

OpenSearch 服务还会向 Amazon 发送服务软件事件 EventBridge。您可以使用配置规则， EventBridge 以便在收到事件时发送电子邮件或执行特定操作。有关演练示例，请参阅教程：发送有关可用软件更新的 Amazon SNS 警报。

要查看发送给 Amazon 的每个服务软件事件的格式 EventBridge，请参阅服务软件更新事件。

当域不符合更新资格时

如果您的域处于下表中所示的任何状态，则可能没有资格进行服务软件更新。

回滚服务软件更新

Amazon OpenSearch 服务支持回滚服务软件更新。您可以使用 OpenSearch 服务控制台 Amazon CLI、或其中一个启动回滚。 Amazon SDKs使用 blue/green 部署回滚软件更新。

回滚资格和注意事项

您的域名必须满足以下所有条件才能进行回滚：

回滚时间窗口

回滚窗口取决于所应用的软件更新的类型。

回滚窗口到期后，自助服务回滚将不再可用。Amazon Web Services 支持如果您在窗口关闭后遇到严重问题，请与联系。

如何申请回滚

您可以使用 RollbackServiceSoftwareUpdate API 请求回滚。

请求

POST /2021-01-01/opensearch/serviceSoftwareUpdate/rollback

请求正文：

{
    "DomainName": "your-domain-name"
}

响应

在所有非错误情况下，API 都会返回 HTTP 200 响应。响应正文中的RollbackAvailable字段表示回滚是否已启动。

{
    "RollbackServiceSoftwareOptions": {
        "CurrentVersion": "string",
        "NewVersion": "string",
        "RollbackAvailable": boolean,
        "Description": "string"
    }
}

响应字段：

错误响应

回复消息

下表描述了 RollbackServiceSoftwareUpdate API 可能返回的响应消息。

示例响应：

{
    "RollbackServiceSoftwareOptions": {
        "CurrentVersion": "OpenSearch_2_11_R20240115",
        "NewVersion": "OpenSearch_2_11_R20231023",
        "RollbackAvailable": true,
        "Description": "Rollback initiated successfully. The domain will be rolled back from OpenSearch_2_11_R20240115 to OpenSearch_2_11_R20231023."
    }
}

如果回滚不可用，RollbackAvailable则会返回false，该Description字段包含上表中的原因。